Uma sub-rede chamada Subnet1 tem VMs e um NSG (NSG1) com apenas as regras padrão. Você precisa adicionar uma regra NSG que impeça os hosts da Subnet1 de se conectarem ao portal do Azure, mas que ainda permita conexões com outros hosts da internet. Qual deve ser o destino (Destination) da regra?

A tag de serviço (Service Tag) é a opção correta porque permite especificar um grupo predefinido de endereços IP para serviços específicos da Microsoft, como o Azure Portal. Ao usar a tag de serviço "AzurePortal" como destino e definir a ação como "Negar", você impede que os hosts da Subnet1 acessem o portal sem bloquear o tráfego para outros destinos na internet. As outras opções estão incorretas porque: Application security group (ASG) é usado para agrupar VMs e aplicar regras de segurança com base nesse grupo, não para serviços externos da Microsoft. IP Addresses exigiria que você soubesse e mantivesse uma lista de todos os endereços IP do Azure Portal, o que é inviável e sujeito a mudanças. Any bloquearia todo o tráfego de saída da Subnet1 para a internet, o que não atende ao requisito de permitir conexões com outros hosts da internet.